项目背景

基于浙江银联与温州铁投签订的合作协议，由优城负责组织进行温州轨道交通S1线AFC系统的软硬件系统改造，实现以“银联卡闪付”、“银联手机闪付”、二维码支付方式购买乘车票卡和直接使用“银联卡闪付”、“银联手机闪付”、二维码支付方式进出车站闸机两项功能，同时在站点人工窗口增加使用各类支付方式购票后的查询、退票功能。

1、实现温州市轨道交通S1线TVM开通银联IC卡支付功能，在2018年4月30日前完成“银联卡闪付”、“银联手机闪付”样机定型，在2018年9月30日前完成上线运营。TVM具体改造数量由温州铁投确定。

2、共同推进在温州市轨道交通S1线直接使用“银联卡闪付”、“银联手机闪付”、“二维码过闸”方式进出闸机的应用实施，争取在S1线开通之时投入使用，具体开通日期由温州铁投确定。

3、对温州轨道交易的ACC系统进行软硬件升级改造，增加银联卡联机交易（包括银联卡闪付、银联手机闪付）和二维码交易转发、资金清算、对账和差错处理功能。

需求分析

系统需要具备以下几个硬件条件：

1.   在生产环境中具备一个可以布置iACC系统的系统环境，包括相关的硬件设备如服务器、存储、虚拟化系统或云环境以及网络设备，并考虑信息安全等级保护要求，增加相应的信息化安全设备；

2、所有核心设备冗余、双活，且核心数据库需满足每天约百万次以上的交易，在高峰期同时满足十万个及以上的IOPS并发，并满足后续扩展；

3.   具备允许第三方专线等接入的网络条件。

总体目标

应用全双活，线性可扩展，针对核心数据库和应用系统建设全双活架构，实现网络、服务器、存储单元全双活，无单点故障；

存储资源按需建设，针对核心数据库应用，采用高性能PCI SSD作为存储介质，实现快速I/O响应；针对其他应用也采用SSD+SAS混合作为存储介质，采用超融合系统实现服务器堆叠，使用SSD加速功能解决突发性高并发要求；

实现主备或双活机房建设，根据不同的业务系统类型和应用，建设主备中心，如核心数据库等，针对无数据的业务前置平台，可以实现2套系统应用级主备；

建设万兆骨干、千兆到桌面的网络架构，服务器端采用万兆到核心，主备生产系统实现全链路万兆，满足不同业务系统需求；

建设智能化、弹性的网络平台，智能识别业务，对关键业务应用提供端到端的高质量数据传输的有效保证，在不同业务高峰期保障不同业务带宽和流量，从而实现合理有效的利用网络设备；

统一运维管理，快速故障定位，能实时监控网内所有业务、服务器、网络等情况，发生异常流量、故障等第一时间进行有效告警；

铁桶式安全建设，内部服务器、客户端等实现接入、运行、病毒防护等统一安全管理，杜绝非授权用户、设备的接入。

设计方案

建设拓扑：

建设要点：   

1） 针对核心数据库：核心数据库当前作为各种业务的集中数据库，关系到所有业务的数据安全和业务持续性，采用高性能硬件级双活架构，实现网络、计算、存储全双活，既满足系统对硬件冗余要求，又满足大业务压力的需要；

2） 针对应用平台：应用业务采用超融合架构，实现硬件的全冗余，业务的高可用，既保障安全性又预留扩展性，满足后续业务系统的扩容；

3） 在核心数据安全建设上，采用云备姆数据库复制系统实现数据库的实时同步复制和备份，可以实现任意SCN号回退和快速业务接管，保障云票务系统业务的持续性和数据安全性；

4）在虚拟化层面，我们采用虚拟化底层备份技术，对多有虚拟机进行定期备份，确保业务系统在运行和维护过程中的系统安全，可以实现快速秒级免回复挂载使用，实现业务层的保护。

一体机架构展示

实现业界最高等级的可靠性：双活服务器采用“Lockstep 锁步技术”的结构设计，帮助用户全面提升系统运行的稳定性。可靠性指标从传统方案的99.9%提升到99.999+%以上。

简化部署结构：双活服务器在保障机器运行的极度可靠前提下，更为用户带来单一操作的系统和应用处理环境。 用户只需要执行单一的操作系统、应用软件安装。无需像集群环境中添加各种脚本配置文件。双活同时提供冗余网络，单一IP的使用。为网络连接主动提供可靠性和简便的支持。

使用、管理、维护便捷：单一简化的部署，为用户的使用和管理带来方便。 也减少复杂环境可能引发的认为操作错误。图形化的运行窗口和状态指示灯明确向用户展现了系统的运行情况。所有服务器部件的联机热拔插更换，为用户的后期维护带来极大的便利性，可以大大节省系统维护人员的劳动强度和人工可能带来的操作失误。

磁盘冗余：2个节点的磁盘数据完全一致，实现了存储的双活功能，任意磁盘故障，只需更换磁盘，而无需进行复杂的配置操作，就能迅速恢复到以前正常的工作运行环境，而不需重新安装OS或应用程序，大大节省恢复时间。

网络冗余：自动将2节点的网络组合成一个冗余的逻辑网卡。供操作系统使用。两个网口可以相互切换，公用同一个IP。当网卡或网线发生故障或链接问题，网卡之间以毫秒级别自动完成切换。TCP/IP的连接或数据并不会发生中断或丢失。

优势

零停顿时间

双活系统提供业界最高可靠性、和可用性。要求采购的服务器系统采用双模（DMR）和三模（TMR）硬件体系结构。双模系统可用性达到99.999%，平均每年非计划（意外）停机时间不超过5分钟。而三模系统可用性可超过99.9999%的可用性。与其它解决方案低于99.99%，平均每年非计划（意外）停机时间超过4~5小时的可用性相比，用客户获得极大的稳定性。

无故障恢复时间

系统所有关键部件均为冗余配置。冗余部件时钟同步运行相同指令。保证即使在硬件出现故障时，其冗余部件仍然保持继续运行，从而保证当前交易的处理，应用不会 因此而停顿和数据丢失。其它方案下，应用需要等待计算机系统的故障恢复，数据库的恢复，网络联接的恢复以及应用的恢复。

无内存数据丢失

双活系统独特的冗余硬件结构不但保证磁盘静态数据的完整性，而且保证内存数据的完整性。从而保证交易的完整一致性。而其它解决方案使无法做到的。在故障恢复期间，当前交易和内存数据将要丢失。

标准Windows/Linux 兼容性

双活系统支持标准的Windows/Liunx（RedHat）操作系统环境。保持应用二进制兼容。标准Windows和RedHat下运行的软件无需任何变动即可稳定在上面运行。

Windows/Liunx（RedHat）可靠性增值

双活系统利用其独特的冗余结构和容错技术，改进和完善了Windows /Liunx（RedHat）的可靠性和稳定性。

1.强化驱动

为加强可靠性而设计的双活系统强化驱动不但可以实时检测和隔离故障部件，而且可以检测和隔离不良驱动的内存越界写操作，防止造成系统严重后果。

2.在线转存

在Windows /Liunx（RedHat）发生崩溃后，双活系统立即可从一个CPU重启动，使关键应用立即投入生产。与此同时，另一个冗余CPU保持内存状态数据，并在线将故障状态转存至磁盘，以供调试和诊断。

3.快速重启动

双活系统提供预先定义内存段，使得当系统崩溃后的重启动期间，此定义的内存段数据保持不被刷新，从而重要数据、上下文生成数据、以及较大的驱动程序维持在定义的内存段，减少重启动时间，并保护了重要数据。

应用透明性

双活系统故障处理在硬件部件级完成。任何故障均能被自动隔离，而不会导致系统进一步严重问题。双活系统容错系统对应用使透明的，即：

a 在单机上开发的应用无需修改，即可获得YBM-ND容错技术的特征。不象其它方案那样需要额外编制面向故障的脚本程序；

b 应用的测试仅限于正常的软件测试。而无需进行繁琐的、重复的脚本程序测试来验证脚本程序能够正确地进行恢复工作；

c 功能系统的维护如同单机一样。没有额外备份或集群技术的维护需要。

生命周期总成本和风险

双活系统的故障处理和维护使可预测的，为企业的成本预算奠定基础，从而双活系统解决方案总成本是最低的。相反，其它利用脚本程序解决故障的方案因为一些不可预测的故障没有相应的脚本程序处理而使应用瘫痪，企业将面临不可预测的成本和风险。